要点： 有名な解読時間の表によると、あらゆる種類の文字を使った 8 文字のパスワードは、2026 年の総当たりで解読に 132 年かかります。ただしこの数字が成り立つのは、パスワードがランダムで、一度も漏れておらず、2FA で守られていない場合だけです。実際のパスワードはたいていランダムではなく、攻撃者は漏洩済みのものやよくあるものから試すので、そうしたパスワードはほぼ一瞬で破られます。身を守るには、パスワードマネージャーで生成した長くランダムなパスワードを使い、使い回さず、2FA をオンにすることです。
表が測っているもの
Hive Systems は毎年、総当たり攻撃でパスワードを解読するのにかかる時間を、長さと文字の種類ごとにまとめた表を公開しています。2026 年版が想定するのは装備の整った攻撃者で、RTX 5090 GPU × 16 枚で、bcrypt（work factor 10）でハッシュ化されたパスワードを狙います。
- ランダムな小文字 8 文字： 約 2 週間。
- あらゆる種類のランダムな 8 文字（大文字、小文字、数字、記号）：132 年。
数字は下がり続ける
同じ 8 文字・全種類のパスワードは、2024 年の表で 225 年、2025 年で 164 年、2026 年で 132 年でした。Hive Systems によれば、ハードウェアの進歩で解読は毎年およそ 20〜25% 速くなっています。
落とし穴
この表は最良のケースです。Hive Systems 自身が述べているとおり、数字は、パスワードがランダムに生成されていること、過去の漏洩に含まれていないこと、そして MFA が使われていないか突破されていることを前提にしています。
実際のパスワードは、たいていそのどれかを満たしていません。単語だったり、名前と年号だったり、ほかで使い回して漏れたものだったり。しかも攻撃者は総当たりから始めません。新しいパスワードの解読に手間をかける前に、よくあるものや漏洩したものをすべて試します。だから、よくある、使い回した、辞書に載っている単語ベースのパスワードは一瞬で破られることがあります。
動画に出てくるパスワードの例（password123、summer2024!、qwerty）はイメージで、実際の漏洩リストから取ったものではありません。
本当に効く対策
- 長く、ランダムに。 パスワードマネージャーで生成します。
- パスワードは使い回さない。 1 件の漏洩で開くのは 1 つのアカウントだけにすべきで、すべてのアカウントではありません。
- 2FA をオンにする。 132 年の表は、あなたが 2FA を使っていない前提です。
出典
- Hive Systems, Are your passwords in the green?（2026 年の表とその前提）
- Hive Systems, press release, 14 July 2026
動画はコードでアニメーションを作り、台本は AI の手を借りて書きました。上の数字はすべて出典で確認しています。制作には Shotloop を使いました。コードで解説動画をつくり、1 ショットずつ直せる、私の無料 Mac アプリです。